Security Centerでアラートの種類を表示する - Security Center

Security Centerは、web改ざん、疑わしいプロセス、webシェル、異常なログオン、悪意のあるプロセスのアラートなど、アセットで検出された脅威に対するさまざまな種類のアラートをリアルタイムで生成します。 Security Centerは、脅威検出モデルに基づいて脅威を検出します。これにより、資産のセキュリティ体制をリアルタイムで監視し、できるだけ早い機会に脅威を処理することができます。

背景情報

セキュリティセンターは、サーバーまたはクラウドサービスで脅威が検出されると、アラートイベントを生成します。たとえば、Security Centerが悪意のあるIPアドレスから開始された攻撃を検出したり、アセットに対する例外を検出したりすると、アラートイベントが生成されます。

アセットで生成されたアラートを表示するには、レスポンス検出 > セキュリティアラートの処理 ページに移動します。クラウド脅威検出および応答 (CTDR) 機能を有効にしている場合、次の操作を実行してアラートを表示できます。脅威の分析と応答 > セキュリティアラートページに移動します。アラートページの右上隅にある ホストとコンテナーのセキュリティ警告 をクリックし、セキュリティアラートの処理 ページに移動します。

説明

Web改ざん防止は、セキュリティセンターが提供する付加価値機能です。機能を使用するには、機能を購入して有効にする必要があります。詳細については、「web改ざん防止機能の使用」をご参照ください。

脅威検出の制限

セキュリティセンターは、リスクが検出されるとリアルタイムでアラートを送信します。 security Centerコンソールで、セキュリティアラートの管理、脆弱性のスキャンと修正、攻撃の分析、構成評価を実行できます。 Security Centerはアラートを分析し、攻撃を追跡できます。これにより、資産のセキュリティが強化されます。攻撃からアセットを保護するために、サーバーに最新のセキュリティパッチを定期的にインストールし、Cloud FirewallやWeb Application Firewall (WAF) などの他のセキュリティサービスをsecurity Centerと一緒に使用することを推奨します。

Security Centerエージェントをサーバーにインストールした後、Security Centerの防御プロセスをサーバーで有効にするには、特定の期間が必要です。この期間中、セキュリティセンターはランサムウェアやDDoSトロイの木馬などの脅威をブロックすることはできません。

重要

攻撃とウイルスは常に変化しており、実際のワークロードはさまざまな環境で実行されます。したがって、セキュリティセンターは、すべての未知の脅威がリアルタイムで検出されることを保証できません。セキュリティを強化し、侵入、データ盗難、データ損傷を防ぐために、アラート、脆弱性検出、ベースラインチェック、構成評価などのセキュリティセンター機能を使用することを推奨します。

脅威検出モデル

Security Centerは、包括的な方法で脅威を検出するための250以上の脅威検出モデルを提供します。 セキュリティアラートの処理 ページの左上隅にある威胁检测模型图标アイコンをクリックすると、モデルが表示されます。このモデルは、ネットワーク攻撃の10段階で、クラウド資産の脅威をエンドツーエンドで検出するために使用されます。ステージには、攻撃ポータル、ロードデリバリー、特権エスカレーション、およびエスケープ検出が含まれます。

アラートのリスクレベル

Security Centerによって生成されるアラートは、次のリスクレベルに分類されます。

リスクレベル	説明
緊急	緊急アラートは、資産に損害を与えたり、永続的な影響を与えたりする動作によってトリガーされます。このタイプの動作は、リバースシェルなどの一般的な攻撃に似ています。緊急アラートは、資産がおそらく攻撃を受けていることを示しています。アラートの詳細を表示し、できるだけ早い機会にアラートを処理することを推奨します。
疑わしい	不審なアラートは、損害を与えたり、資産に永続的な影響を与えたりする動作によってトリガーされます。このタイプの動作は、疑わしいユーザーの追加など、一部のO&M動作に似ています。このタイプの挙動はまた、攻撃経路に含まれ得るが、不必要である。このタイプの動作が欠落していても、アセットが攻撃される可能性があります。例えば、攻撃パスにおいて、攻撃によって残されたトレースの削除は不要である。疑わしいアラートは、資産が攻撃される可能性があることを示しています。アラートの詳細を表示し、リスクが存在するかどうかを確認することを推奨します。リスクが存在する場合は、リスクを処理します。
リマインダー	リマインダーアラートは、攻撃パスで不要な動作によってトリガーされます。このタイプの動作が欠落していても、アセットが攻撃される可能性があります。このタイプの動作は、疑わしいポートリスニングなどの一部のO&M動作に似ています。資産のセキュリティ要件が高い場合は、注意事項を注意してください。

アラート統計

セキュリティセンターは、有効になっているアラートの種類に基づいて統計を提供します。これにより、アセットのアラート、および有効および無効のアラートの種類に関する最新の情報を取得できます。 Security Centerコンソールの セキュリティアラートの処理 ページで、アラートに関する統計情報と有効になっているアラートの種類を表示できます。

次の表に、セキュリティアラートの処理 ページの上部にあるパラメーターを示します。

パラメーター	説明	API 操作
アラートが存在するサーバー	アラートが生成されるサーバーの数。	[アラートサーバー] の下の番号をクリックして、ホストアセットページの [サーバー] タブに移動します。 [サーバー] タブには、アラートが生成されるサーバーの詳細が表示されます。
緊急処理が必要なアラート	未処理の緊急アラートの数。	緊急アラートの下の番号をクリックします。システムは、アラートページに緊急アラートを表示します。緊急アラートを表示および処理できます。説明できるだけ早い機会に緊急アラートを処理することを推奨します。
処理待ちのアラートの総数	未処理のアラートの総数。	セキュリティアラートの処理ページで、すべての未処理のアラートの詳細を表示します。詳細については、「アラートの表示と処理」をご参照ください。
正確な防御	悪意のあるホストの動作防止機能によって自動的に隔離されたウイルスに対して生成されたアラートの数。	Precise Defenseの下の番号をクリックしてください。関連するアラートが [アラート] ページに表示されます。悪意のあるホストの動作防止機能によって自動的に隔離されたすべてのウイルスを表示できます。悪意のあるホスト行動からの保護説明セキュリティセンターによって隔離されたウイルスは無視できます。
IP アドレスブロックポリシー / すべてのポリシーの有効化	有効なIPアドレスブロックポリシー: 有効になっているブルートフォース攻撃に対する防御ポリシーによってブロックされたIPアドレスの数すべてのポリシー: 作成されたブルートフォース攻撃に対するすべての防御ポリシーによってブロックされたIPアドレスの数	有効なIPアドレスブロックポリシー /すべてのポリシーの下の数字をクリックします。 IP アドレスルールポリシーライブラリパネルで、有効になっているIPアドレスブロックポリシー、または作成されたすべてのIPアドレスブロックポリシーを表示できます。 IPアドレスブロックポリシーの詳細については、「アラート設定の設定」をご参照ください。
隔離されたファイルの数	処理されたアラートに基づいてセキュリティセンターによって隔離されたファイルの数。	隔離されたファイルの下の番号をクリックします。隔離されたファイルパネルでは、隔離されたファイルの詳細を表示できます。隔離されたファイルはサーバーに影響しません。詳細については、「隔離されたファイルの表示と復元」をご参照ください。

アラートタイプ

セキュリティセンターの各種類のアラートのチェック項目とチェックの原則の詳細については、「アラート」をご参照ください。 Security Centerが生成できるアラートの種類は、Security Centerのエディションによって異なります。詳細については、「関数と機能」をご参照ください。

次の表に、Security Centerが生成できるすべての種類のアラートを示します。

アラート	説明
Web 改ざん防止	Security Centerはwebディレクトリをリアルタイムで監視し、バックアップファイルを使用して改ざんされたファイルまたはディレクトリを復元します。これにより、悪意のある変更、トロイの木馬、隠しリンク、および暴力的または違法なコンテンツのアップロードからWebサイトが保護されます。セキュリティセンターは、次の疑わしいアクティビティを検出できます。ファイルの追加ファイルの変更ファイル削除説明 Web改ざん防止は、セキュリティセンターが提供する付加価値機能です。機能を使用するには、機能を購入して有効にする必要があります。セキュリティセンターAnti-virus、Advanced、Enterprise、およびUltimateは、web改ざん防止をサポートしています。 Security Center Basicはweb改ざん防止をサポートしていません。詳細については、「web改ざん防止機能の使用」をご参照ください。
疑わしいプロセス	Security Centerは、次の操作を実行するプロセスを含む疑わしいプロセスを検出できます。 Linuxでスケジュールされたタスクの構成ファイルへの書き込み操作。 Linuxでスケジュールされたタスクのファイルへの不審な変更。 Linuxでの疑わしいコマンドの実行。逆シェルの実行。詳細については、「複数のディメンションからの逆シェルの検出」をご参照ください。
ウェブシェル	Security Centerは、Alibaba Cloudが開発したエンジンを使用して、一般的なWebシェルファイルをスキャンします。 Security Centerは、スケジュールされたスキャンタスクをサポートし、リアルタイムの保護を提供し、webshellファイルを隔離します。 Security Centerは、毎日早朝にwebディレクトリ全体をスキャンします。 webディレクトリ内のファイルが変更された場合、Security Centerはすぐにwebシェルをスキャンします。 Security CenterがWebシェルをスキャンするアセットを指定できます。検出されたトロイの木馬ファイルを隔離、復元、または無視できます。説明 Security Center Basicは、一部の種類のWebシェルのみを検出します。すべての種類のWebシェルを検出する場合は、Security Center BasicをAnti-virus、Advanced、Enterprise、またはUltimateエディションにアップグレードすることを推奨します。詳細については、「Security Centerのアップグレードとダウングレード」をご参照ください。
異常なログイン	Security Centerは、サーバーへの異常なログオンを検出します。承認済みのログオンIPアドレス、期間、およびアカウントを設定できます。未承認のIPアドレス、アカウント、または期間からのログオンはアラートをトリガーします。承認済みのログオン場所を手動で追加するか、承認済みのログオン場所を自動的に更新するようにシステムを設定できます。異常なログオン場所が検出されたときにアラートがトリガーされるアセットを指定することもできます。セキュリティセンターは、次の疑わしいアクティビティを検出できます。未承認のIPアドレスからECSインスタンスにログオン異常な場所からECSインスタンスにログインする ECSがSSH経由でログインした後に実行される疑わしいコマンドシーケンス SSHでのブルートフォース攻撃によりECSインスタンスが侵害されました詳細については、「」をご参照ください。Security Centerが異常なログオンを検出し、異常なログオンのアラートを生成する方法?
疑わしいイベント	Security Centerは、アプリケーションの実行中に疑わしいアクティビティを検出します。
機密ファイルの改ざん	セキュリティセンターは、サーバー上の機密ファイルが改ざんされているかどうかを確認します。機密ファイルには、Linuxの共有ライブラリにプリロードされた構成ファイルが含まれます。
マルウェア	Security Centerはエージェントを使用してサーバーをリアルタイムでスキャンします。ウイルスが検出されると、Security Centerはアラートを生成します。 Security Centerコンソールにログインして、検出されたウイルスを処理できます。セキュリティセンターは、次の疑わしいアクティビティを検出できます。悪意のあるIPアドレスへのアクセスマイニングプログラム自己変異型トロイの木馬悪意のあるプログラムトロイの木馬
異常なネットワーク接続	Security Centerは、異常なネットワーク接続と切断を検出します。セキュリティセンターは、次の疑わしいアクティビティを検出できます。悪意のあるダウンロードソースへのプロアクティブ接続悪意のあるドメイン名へのアクセス鉱山プールとのコミュニケーション疑わしいアウトバウンドネットワーク接続リバースシェルのアウトバウンド接続 (詳細については、「複数のディメンションからのリバースシェルの検出」をご参照ください) 。 Windowsの異常なネットワーク接続内部ネットワークに対する疑わしい横方向の動きの攻撃機密ポート (ポート22、80、443、3389など) での疑わしいスキャン
その他	Security Centerは、Security Centerエージェントの異常な切断を検出します。
疑わしいアカウント	Security Centerは、アセットにログオンしようとする未承認のアカウントを検出します。
アプリケーション侵入イベント	Security Centerは、システムアプリケーションコンポーネントを使用する侵入を検出します。
クラウド脅威の検出	Security Centerは、購入した他のAlibaba Cloudサービスに脅威が存在するかどうかを確認します。たとえば、Security Centerは、ECSセキュリティグループルールの疑わしい削除を検出できます。
正確な防御	セキュリティセンターは、一般的なランサムウェア、DDoSトロイの木馬、マイニングプログラム、トロイの木馬、悪意のあるプロセス、Webシェル、およびコンピュータワームに対する正確な保護のための悪意のあるホスト行動からの保護機能を提供します。この機能を有効にする方法の詳細については、「プロアクティブ防御」をご参照ください。
申請ホワイトリスト	強化された保護が必要なサーバー上のアプリケーションのホワイトリストポリシーを作成できます。ポリシーによって識別された疑わしいプロセスまたは悪意のあるプロセスがホワイトリストに追加されていない場合、Security Centerはアラートを生成します。
永続性	Security Centerは、サーバー上の疑わしいスケジュールタスクを検出します。サーバーに対する永続的な脅威が検出された場合、Security Centerはアラートを生成します。
Webアプリケーションの脅威検出	Security Centerは、webアプリケーションを使用する侵入を検出します。
悪意のあるスクリプト	Security Centerは、アセットのシステムサービスが悪意のあるスクリプトによって攻撃または変更されているかどうかを確認します。潜在的なスクリプト攻撃が検出されると、Security Centerはアラートを生成します。悪意のあるスクリプトは、ファイルベースのスクリプトとファイルなしのスクリプトに分類されます。攻撃者がサーバーを制御した後、攻撃者は追加の攻撃のスクリプトを使用します。たとえば、攻撃者がマイニングプログラムやWebシェルを挿入し、システムに管理者アカウントを追加する可能性があります。悪意のあるスクリプトのプログラミング言語には、Bash、Python、Perl、PowerShell、Batch、VBScriptなどがあります。
脅威インテリジェンス	Security Centerは、Alibaba Cloudが開発した脅威インテリジェンスライブラリを使用して、アクセストラフィックとログの相関分析を実行します。 Security Centerは、悪意のあるドメイン、悪意のあるダウンロードソース、悪意のあるIPアドレスへのアクセスなどの脅威イベントも検出します。
K8s異常な行動	Security Centerは、Kubernetesクラスターで実行中のコンテナーのセキュリティステータスを監視します。これにより、クラスター内のセキュリティリスクと侵入をできるだけ早く検出できます。クラスターに対する脅威を検出するには、Kubernetesコンテナーで脅威検出機能を有効にする必要があります。詳細については、「コンテナー保護の設定タブの機能の有効化」をご参照ください。

アラート

次の一覧では、Security Centerが生成できるすべてのアラートについて説明します。アラートは、オペレーティングシステム、検出項目、および攻撃方法に基づいて分類されます。 Alibaba Cloudの脅威インテリジェンスと最新の脆弱性に基づいて、Security Centerは侵入防止システム (IPS) を使用してサーバー上の脅威を分析し、さまざまな種類のアラートを生成します。このトピックでは、Security Centerが生成できるアラートとアラートの種類について説明します。

Linuxサーバーのアラート

アラートタイプ	アラート名	説明
Persistence	カーネル构成ファイルの改ざん	脅威検出モデルにより、サーバー上のカーネルモジュールの構成ファイルが改ざんされたことが検出されました。ほとんどの場合、改ざんは、ルートキットプログラムが構成ファイルを変更して自己起動を実現するときに検出されます。
	悪意のある起動項目スクリプト	脅威検出モデルでは、サーバー上のセルフスタートアップアイテムの一部のファイルが疑わしいことが検出されました。ファイルは、永続性を達成するためにマルウェアまたは攻撃者によって挿入される、スケジュールされたタスクまたは自己起動スクリプトであり得る。
	Backdoorプロセス	脅威検出モデルは、サーバー上の疑わしいバックドアプロセスを検出しました。バックドアプロセスは、権限を維持しようとする攻撃者によって残される永続的な動作である可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリ内の悪意のある命令を検出しました。プロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが注入されたプロセスである可能性があります。
	異常なプロセス	脅威検出モデルは、サーバー上の実行中のプログラムに異常なプロセスが存在することを検出しました。プロセスは、悪意のあるプロセスまたは悪意のあるコードをロードしたプロセスであり得る。
	異常な自己起動アイテム	脅威検出モデルは、サーバー上の異常な自己起動アイテムを検出しました。自己起動アイテムは、永続性を達成するために攻撃者またはマルウェアによって追加され得る。
	隠しカーネルモジュール	脅威検出モデルは、サーバー上の隠しカーネルモジュールを検出しました。カーネルモジュールは、攻撃者またはマルウェアによって挿入されるルートキットのバックドアであり、システム許可を維持し、他の悪意のある動作を隠すために使用されます。
	Linuxでの疑わしいスケジュールタスク	脅威検出モデルは、サーバーで疑わしいスケジュールタスクを検出しました。タスクは、攻撃者がサーバーに残した永続的な動作である可能性があります。
	SSH公開キーのバックドア	脅威検出モデルは、サーバー上のログオンに対して異常なSSH公開鍵を検出しました。アクセス許可を維持するために、ワームまたは攻撃者によってSSH公開鍵が攻撃されたサーバーに追加されました。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Pythonなどの悪意のあるスクリプトコードがサーバーで実行されたことを検出しました。
悪意のあるスクリプト	不正なスクリプトファイルの検出	脅威検出モデルは、サーバー上の悪意のあるスクリプトファイルを検出しました。ファイルは、サーバーに侵入した攻撃者によって挿入される可能性があります。悪意のあるスクリプトのタグに基づいて、ファイルの内容が正当であるかどうかを確認します。次に、ファイルを処理します。
マルウェア	汚染された基本ソフトウェア	脅威検出モデルは、サーバー上の汚染された基本ソフトウェアを検出しました。ほとんどの場合、汚染された基本ソフトウェアは、悪意のあるコードが注入されるシステムプログラムです。汚染された基本ソフトウェアは基本機能を提供しますが、悪意のある動作をひそかに実行します。
	悪意のあるプログラム	脅威検出モデルにより、サーバー上で悪意のあるプログラムが実行されていることが検出されました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティのプログラムです。
	悪意のあるIPアドレスへのアクセス	脅威検出モデルにより、サーバー上のプロセスが悪意のあるIPアドレスに接続しようとしていることが検出されました。このIPアドレスは、C&CサーバーのIPアドレス、またはリスクの高い攻撃者によって悪用されたマイニングプールのIPアドレスです。プロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体が悪意のあるコードを通常のプログラムファイルに書き込み、実行します。そのため、多数の正常なプログラムが感染し、ウイルスホストとして検出されることが多い。
	攻撃ツール	脅威検出モデルがサーバー上の攻撃者ツールを検出しました。攻撃者ツールは、侵入プロセス中に特権をエスカレートして機密データを盗むために攻撃者によって悪用されるツール、セキュリティソフトウェアのアンインストールに使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	Backdoorプログラム	脅威検出モデルにより、サーバーでバックドアプログラムが実行されていることが検出されました。バックドアプログラムは、システムに挿入され、攻撃者がサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	疑わしいプログラム	脅威検出モデルにより、サーバー上で疑わしいプログラムが実行されていることが検出されました。ほとんどの場合、疑わしいプログラムは、悪意のあるコードの特徴を有するか、または非常に疑わしいプログラムの特徴を有し、分類される必要がある。コードまたはプログラムの詳細に基づいて、疑わしいプログラムを特定する必要があります。
	ランサムウェア	脅威検出モデルにより、サーバー上でランサムウェアが実行されていることが検出されました。 Ransomwareは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得る悪意のあるプログラムです。
	エクスプロイト	脅威検出モデルにより、サーバーでエクスプロイトが実行されていることが検出されました。エクスプロイトは、オペレーティングシステムとアプリケーションの既知の脆弱性を利用して、特権をエスカレートし、エスケープを実装し、任意のコードを実行します。
	トロイの木馬	脅威検出モデルがサーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬が偽装してシステムに挿入された後、トロイの木馬は悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルにより、サーバー上でワームが実行されていることが検出されました。ワームは、侵入先のサーバーから別のサーバーに拡散するために自分自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルにより、サーバーでマイニングプログラムが実行されていることが検出されました。マイニングプログラムは、サーバーのコンピューティングリソースを消費し、暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは非常に高いCPU使用率を引き起こし、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変化型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自分自身を複製し、バックグラウンドで実行します。このようにして、システムによる洗浄が回避される。
	DDoSトロイの木馬	脅威検出モデルは、DDoSトロイの木馬がサーバーで実行されていることを検出しました。 DDoSトロイの木馬は、特定のサーバーに対してDDoS攻撃を開始するために、侵害されたサーバーから指示を受け取るために使用される悪意のあるプログラムです。
	ルートキット	脅威検出モデルがサーバーでルートキットを検出しました。ルートキットは、基になるシステムに挿入される悪意のあるモジュールです。ルートキットは、それ自体または他の悪意のあるプログラムの痕跡を隠すために使用されます。
	Rootkitカーネルモジュール	脅威検出モデルがサーバーでルートキットを検出しました。ルートキットは、基になるシステムに挿入される悪意のあるモジュールです。ルートキットは、それ自体または他の悪意のあるプログラムの痕跡を隠すために使用されます。
疑わしいプロセス	ファイル時間の改ざん	脅威検出モデルは、サーバー上のプロセスがファイル時刻を変更しようとしたことを検出しました。プロセスは、検出を回避するために異常なファイルの実際の作成、アクセス、または変更時間を偽造するために実際のファイル時間を模倣する攻撃者によってトリガされ得る。
	リスクツールの呼び出し	脅威検出モデルは、サーバー上のリスクツールの不審な呼び出しを検出しました。リスクツールは、攻撃者がサーバーに侵入するために悪用するプロキシ、トンネル、またはスキャンツールとして使用できます。
	逆シェル	脅威検出モデルにより、サーバーがリバースシェルコマンドを実行したことが検出されました。攻撃者はリバースシェルコマンドを実行して、サーバーと攻撃者のサーバー間にリバースネットワーク接続を確立します。リバースネットワーク接続に基づいて、サーバー上で任意のコマンドを実行できます。詳細については、「複数のディメンションからの逆シェルの検出」をご参照ください。
	悪意のあるダウンロードソースへの接続	脅威検出モデルにより、サーバーが悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	機密ファイルへのアクセス	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、プロセスが重要なシステムファイルを誤って読み取ったり変更したりしたことを検出しました。
	プロセスによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、プロセスが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がサービスのリモートコード実行 (RCE) 脆弱性を悪用してコマンドを実行したことです。
	リスクの高いアプリケーションによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上の高リスクアプリケーションが疑わしいコマンドを実行したことを検出しました。リスクの高いアプリケーションは、webサービス、データベースサービス、スクリプト、スケジュールされたタスク、または自己開始アイテムです。これらのアプリケーションが侵害され、攻撃者が悪意のあるコマンドを実行するために使用した可能性があります。
	不審なエンコードされたコマンド	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	疑わしいポートリスニング	脅威検出モデルがサーバーで疑わしいポートリスニングを検出しました。攻撃者がサーバーに侵入した後、攻撃者はポートリスニングにncなどのソフトウェアを使用します。このようにして、攻撃者はサーバーから情報を盗むための隠し通信チャネルを確立します。
	疑わしいパス	脅威検出モデルは、サーバー上で疑わしいファイル名拡張子を検出しました。ファイルは実行可能であり、ファイルの形式は拡張子で表される形式と一致しません。潜在的な原因は、侵入プロセス中に攻撃者が検出を回避するために実行可能ファイルのファイル名拡張子を変更したことです。
	疑わしいファイルの実行	脅威検出モデルは、サーバー上のファイルが書き込まれ、疑わしい方法で実行されたことを検出しました。ファイルは、外部ソースからダウンロードされ、攻撃者によって実行される悪意のあるツールである可能性があります。
	不審な行動	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、疑わしいコマンドを検出しました。
	HTTPトンネルを使用したデータ侵害の可能性	脅威検出モデルは、サーバー上のコマンド実行結果を外部サーバーに送信するためにHTTPチャネルが使用されたことを検出しました。潜在的な原因は、攻撃者がRCEの脆弱性を悪用して、侵入先のサーバーでのコマンド実行結果を攻撃者が使用するサーバーに送信したことです。
	疑わしいSSHトンネリング	脅威検出モデルにより、サーバーが疑わしいSSHトンネルを確立しようとしていることが検出されました。
	疑わしいウェブシェル注入	脅威検出モデルでは、疑わしいプロセスがWebシェルファイルをサーバーに挿入しようとしていることが検出されました。
	不審な特権のエスカレーション	脅威検出モデルでは、サーバー上の一部のプロセスがシステムの脆弱性とアプリケーションの脆弱性を悪用し、高いシステム権限を取得していることが検出されました。潜在的な原因は、攻撃者が侵入プロセス中に特権エスカレーションを実装したことです。
	疑わしいルートキットの動作	脅威検出モデルは、サーバー上のルートキットバックドアが疑わしいコマンドを実行していることを検出しました。潜在的な原因は、攻撃者がルートキットのバックドアを挿入し、リモート制御を達成するためにバックドアに悪意のある指示を送信したことです。
	データベースエクスポートツールの不審な呼び出し	脅威検出モデルでは、サーバー上のプロセスの動作履歴を分析し、データベースエクスポートツールの疑わしい呼び出しを検出しました。潜在的な原因は、サーバーが侵害された後に攻撃者がサーバーからデータを盗んだことです。
	異常な行動シーケンス	脅威検出モデルは、サーバー上の複数の異常な動作シーケンスの組み合わせを検出しました。この組み合わせは、通常、ワームのファミリーの拡散によって引き起こされます。サービスもワームに感染している可能性があります。
	Apache CouchDBによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のApache CouchDBが疑わしいコマンドを実行したことを検出しました。
	FTPアプリケーションによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のFTPアプリケーションが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がFTPアプリケーションの弱いパスワードを悪用し、FTPを使用してバッチファイルを実行したことです。
	Javaアプリケーションで実行される疑わしいコマンド	脅威検出モデルでは、サーバー上のJavaプロセスが、悪意のあるプログラムのダウンロードやバックドアの追加などのリスクの高い操作を実行したことが検出されました。潜在的な原因は、脆弱なwebフレームワークまたはミドルウェアを使用したことです。
	Linux crontabファイルの改ざん	脅威検出モデルは、サーバー上のプロセスがLinuxサーバー上のスケジュールされたタスクのファイルを変更しようとしていることを検出しました。潜在的な原因は、悪意のあるプログラムやルートキットプログラムがサーバーに永続的なバックドアコードを書き込もうとしたことです。
	Linuxでスケジュールされたタスクによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のスケジュールされたタスクが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者が、サーバーが侵害された後にアクセス許可を維持するために、スケジュールされたタスクに悪意のあるコマンドを書き込んだことです。
	Linuxでの疑わしいコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが一連の疑わしいコマンドを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者によって通常実行される一連のコマンドに似ています。疑わしいコマンドの親プロセスを確認することを推奨します。親プロセスは、リモート制御トロイの木馬、脆弱なwebサービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	Linuxでの疑わしいコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	MySQL EXPORT関数を使用した不審なファイル書き込み	脅威検出モデルは、サーバー上のMySQLアプリケーションが機密ディレクトリにファイルを書き込もうとしていることを検出しました。潜在的な原因は、攻撃者が弱いパスワードを解読するか、webアプリケーションを使用して悪意のあるSQLステートメントを実行したことです。
	MySQLによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のMySQLサービスが疑わしいコマンドを実行したことが検出されました。潜在的な原因には、MySQLサービスのパスワードの弱さと、SQL文が挿入されたwebサービスが含まれます。
	Oracleによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のOracleデータベースが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がOracleデータベースのパスワードが漏洩した後にリモート・コマンドを実行したことです。
	Postgres EXPORT機能を使用した疑わしいUDFライブラリファイルの書き込み	脅威検出モデルは、サーバー上のPostgresアプリケーションが不審を書き込もうとしていることを検出しました。だからディスクにファイルします。潜在的な原因は、攻撃者がPostgresアプリケーションの弱いパスワードを解読し、Postgresアプリケーションにログオンした後、攻撃者がPostgresアプリケーションで悪意のあるSQL文を実行したことです。攻撃者はを使用した可能性があります。サーバーの制御権限を取得するためのファイル。
	PostgreSQLアプリケーションで実行される疑わしいコマンド	脅威検出モデルは、サーバー上のPostgreSQLアプリケーションが疑わしいコマンドを実行したことを検出しました。潜在的な原因には、PostgreSQLサービスのパスワードの弱さや、悪意のあるSQL文が挿入されたwebサービスなどがあります。
	Pythonアプリケーションによる疑わしいコマンドの実行	脅威検出モデルは、サーバー上のPythonアプリケーションが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、サーバー上のPythonベースのwebアプリケーションにRCEの脆弱性があり、侵害されていることです。
	Redisによって変更されたCrontabファイル	脅威検出モデルは、サーバー上のRedisアプリケーションが不審なファイルをディスクに書き込んだことを検出しました。潜在的な原因は、攻撃者が空白のパスワードを使用したか、Redisアプリケーションの弱いパスワードを解読して悪意のあるSQL文を実行し、システム権限を取得したことです。
	Tomcatが実行する疑わしいコマンド	脅威検出モデルは、サーバー上のTomcatコンテナーが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がTomcatコンテナのJavaアプリケーションのWebshellまたはRCEの脆弱性を悪用して悪意のあるコマンドを実行したことです。
機密ファイルの改ざん	システムファイルの改ざん	脅威検出モデルは、サーバー上のプロセスがシステムファイルを変更または置換しようとしていることを検出しました。潜在的な原因は、攻撃者がシステムファイルを置き換えて検出を回避し、バックドアを隠そうとしたことです。アラートが生成されるシステムファイルが実際のシステムファイルであるかどうかを確認することを推奨します。
	システムファイルの移動	脅威検出モデルは、上流プロセスがサーバー上のシステムファイルを移動しようとしていることを検出しました。潜在的な原因は、侵入プロセス中にセキュリティソフトウェアによって監視されているシステムファイルを攻撃者が移動して検出を回避したことです。
	Linux共有ライブラリファイルのプリロードに使用する設定ファイルの改ざん	脅威検出モデルは、Linux共有ライブラリファイルのプリロードに使用される構成ファイルが改ざんされていることを検出しました。
その他	Security Centerエージェントの異常切断	脅威検出モデルにより、サーバー上のSecurity CenterエージェントのメインプロセスAliYunDunが例外的に停止し、エージェントがAlibaba Cloudから切断されたことが検出されました。切断は、ネットワークの不安定性によって引き起こされ、短期間続く可能性があります。もう1つの潜在的な原因は、サーバーが侵害された後にSecurity Centerエージェントがサーバーからアンインストールされたことです。この場合、サーバーにログインし、Security Centerエージェントが実行されているかどうかを確認する必要があります。エージェントが起動していない場合は, エージェントを起動してください。
ウェブシェル	Webshellファイル	脅威検出モデルは、サーバー上の疑わしいWebシェルファイルを検出しました。ウェブシェルファイルは、攻撃者がウェブサイトに侵入した後にアクセス許可を維持するために挿入され、攻撃者によって使用されるバックドアファイルであり得る。
珍しいログオン	悪意のあるIPアドレスを使用したログイン	脅威検出モデルは、悪意のあるIPアドレスがサーバーへのログオンに使用されたことを検出しました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、Elastic Compute Service (ECS) インスタンスへのログインに使用するパスワードを直ちに変更することを推奨します。
	悪意のあるIPアドレスを使用したFTPログオン	脅威検出モデルは、悪意のあるIPアドレスがサーバー上のFTPアプリケーションへのログオンに使用されたことを検出しました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、FTPアプリケーションへのログインに使用するパスワードをすぐに変更することをお勧めします。
	悪意のあるIPアドレスを使用したMySQLログオン	脅威検出モデルにより、サーバー上のMySQLアプリケーションへのログインに悪意のあるIPアドレスが使用されたことが検出されました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、MySQLアプリケーションへのログインに使用するパスワードをすぐに変更することをお勧めします。
	バックドアアカウントを使用したサーバーログイン	脅威検出モデルでは、攻撃者がサーバーにバックドアアカウントを挿入し、そのバックドアアカウントを使用してサーバーにログオンしたことが検出されました。この操作を実行しなかった場合は、すぐにバックドアアカウントを削除することを推奨します。
	パスワードが弱いアカウントを使用したサーバーログイン	脅威検出モデルでは、パスワードが弱いアカウントを使用してサーバーにログインしたことが検出されました。このログオンは、自分自身または攻撃者によって実行され得る。ほとんどの場合、攻撃者は弱いパスワードを解読してサーバーに侵入します。強力なパスワードをすぐに設定することを推奨します。
	疑わしい外部ログオンスキャン	脅威検出モデルでは、SSH、RDP、SMBなどのプロトコルに対してサーバーが頻繁にブルートフォース攻撃を開始したことが検出されました。潜在的な原因は、サーバーが攻撃され、攻撃者が他のサーバーを攻撃するために使用したことです。
	珍しい場所からのログオン	脅威検出モデルでは、サーバーが短時間で互いに離れた2つの場所からログオンしたことが検出されました。場所の1つは、通常のログオン場所です。異なる場所からのログオンは、ログオン要求の1つが通常の場所ではなく異常な場所から開始されることを示す。この操作を実行しなかった場合は、サーバーへのログインに使用するパスワードをすぐに変更することをお勧めします。
	珍しいアカウントを使用したログオン	脅威検出モデルにより、管理者グループに異常なアカウントが追加され、そのアカウントがサーバーへのログオンに使用されたことが検出されました。この操作を実行しなかった場合は、すぐにアカウントを削除することをお勧めします。
	複数の無効なユーザーによるブルートフォース攻撃によりECSインスタンスが侵害されました	脅威検出モデルでは、複数の無効なユーザーが同じIPアドレスを使用してサーバーにログオンしたことが検出されました。この操作を実行しなかった場合は、ECSインスタンスへのログインに使用するパスワードを直ちに変更することを推奨します。
	RDPに対するブルートフォース攻撃によりECSインスタンスが侵害されました	脅威検出モデルは、サーバーがRDPに対するブルートフォース攻撃を受けていることを検出しました。攻撃者はRDPサービスパスワードを解読し、数回試行した後にサーバーにログオンしました。
	疑わしいコマンドシーケンス実行前のSSH経由のECSインスタンスログイン	脅威検出モデルでは、IPアドレスを使用してサーバーにログインした後に、サーバーで悪意のあるコマンドが実行されたことが検出されました。潜在的な原因は、サーバーへのログオンに使用されたパスワードが弱いか、漏洩していることです。
	異常な時間範囲内でのECSインスタンスへのログイン	サーバーがログオンしている時刻が、指定したログオン時刻の範囲内ではありません。ログインが有効かどうかを確認することを推奨します。
	珍しいアカウントを使用したECSインスタンスへのログイン	サーバーへのログオンに使用されるアカウントが、正当なアカウントの条件と一致しません。ログインが有効かどうかを確認することを推奨します。
	異常なIPアドレスを使用したECSインスタンスへのログイン	サーバーへのログオンに使用されるIPアドレスは、指定したIPアドレス内にありません。ログインが有効かどうかを確認することを推奨します。
	異常な場所からECSインスタンスにログインする	サーバーがログオンしている場所は、指定したログオン場所内にありません。ログインが有効かどうかを確認することを推奨します。
異常なネットワーク接続	ポート転送	脅威検出モデルにより、サーバー上のプロセスがポート転送用のトンネルを設定しようとしていることが検出されました。潜在的な原因は、攻撃者が侵入先のサーバーを使用して、同じ内部ネットワークにデプロイされている他のサーバーを攻撃したことです。
	悪意のあるドメイン名へのアクセス	脅威検出モデルはDNSトラフィックを分析し、サーバーがリスクの高いドメイン名を解決したことを検出しました。ドメイン名は、リモコンのドメイン名、ボットネット組織のドメイン名、またはマイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入し、サーバーを悪用した可能性があります。
	疑わしいアウトバウンド接続	脅威検出モデルにより、サーバーがWebサイトにアクセスしようとしていることが検出されました。ウェブサイトは、マイニングプールアドレス、C&Cバックドア、およびボットネット組織のドメイン名に関連していてもよい。
	Meterpreterを使用した逆シェル接続	脅威検出モデルがサーバー上の疑わしいプロセスを検出しました。プロセスは、攻撃者のサーバーがMeterpreterを使用してサーバー上でより多くの操作を実行するためのリバースシェル接続を確立しようとしていました。詳細については、「複数のディメンションからの逆シェルの検出」をご参照ください。
	鉱山プールとのコミュニケーション	脅威検出モデルでは、サーバーがマイニングプールのIPアドレスと通信していることが検出されました。潜在的な原因は、サーバーが攻撃者によって侵入され、マイニングに使用されていることです。
	内部ネットワークスキャン	脅威検出モデルでは、サーバー上のプロセスが複数の内部IPアドレスの指定されたポートに対して短時間でスキャンを開始したことが検出されました。潜在的な原因は、攻撃者がサーバーが侵害された後に横方向移動攻撃を開始しようとしたことです。
	内部ネットワークに対する疑わしい横方向の動きの攻撃	脅威検出モデルは、サーバー上の異常な内部ネットワーク接続を検出しました。潜在的な原因は、サーバーが侵害された後、攻撃者が内部ネットワークに対して横方向の移動攻撃を開始したことです。
	異常なトラフィック	脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データ侵害、疑わしいプロキシやトンネルによって引き起こされる可能性があります。アラートの詳細に基づいてトラフィックを処理することを推奨します。
	悪意のあるダウンロードソースへの積極的な接続	脅威検出モデルでは、サーバーがHTTPを使用して悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Redisが実行する疑わしいコマンド	攻撃者がRedisサービスに接続した後、サーバー上のRedisサービスが悪意のあるSQLステートメントを実行したことが脅威検出モデルによって検出されました。この場合、攻撃者がサーバーを制御した可能性があります。
疑わしいアカウント	不審なアカウントを使用したシステムログイン	脅威検出モデルでは、ユーザーが不正アカウント、システム組み込みアカウント、または攻撃者アカウントを使用してシステムにログオンしようとしていることが検出されました。ログオンは、攻撃者によって実行され得る。

Windowsサーバーのアラート

アラートタイプ	アラート名	説明
Persistence	不審な自己起動アイテム	脅威検出モデルでは、サーバー上の一部のセルフスタートアップ項目が疑わしいことが検出されました。アイテムは、永続性を実現するためにマルウェアまたは攻撃者によって追加された可能性があります。
	疑わしいバックドア	脅威検出モデルは、サーバー上のWMIまたはbitsadminバックドアを検出しました。このようなバックドアは、サーバーが侵害された後、攻撃者によってシステム権限を維持するために残された可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリ内の悪意のある命令を検出しました。プロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが注入されたプロセスである可能性があります。
	異常なプロセス	脅威検出モデルは、サーバー上の実行中のプログラムに異常なプロセスが存在することを検出しました。プロセスは、悪意のあるプロセスまたは悪意のあるコードをロードしたプロセスであり得る。
	異常なレジストリ構成	脅威検出モデルにより、サーバー上の疑わしいレジストリ構成が検出されました。ほとんどの場合、いくつかのキーレジストリ構成は、永続性を達成したり妨害行為を行うためにマルウェアによって変更される可能性があります。
	異常な自己起動アイテム	脅威検出モデルは、サーバー上の異常な自己起動アイテムを検出しました。自己起動アイテムは、永続性を達成するためにマルウェアまたは攻撃者によって追加された可能性があります。
	コバルトストライクRAT	脅威検出モデルは、サーバー上のプロセスのメモリ内のCobalt Strike RATの悪意のあるコードを検出しました。プロセスは、悪意のあるプロセスまたは悪意のあるコードが注入されたプロセスであり得る。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Pythonなどの悪意のあるスクリプトコードがサーバーで実行されたことを検出しました。
悪意のあるスクリプト	不正なスクリプトファイルの検出	脅威検出モデルは、サーバー上の悪意のあるスクリプトファイルを検出しました。ファイルは、サーバーに侵入した攻撃者によって挿入される可能性があります。悪意のあるスクリプトのタグに基づいて、ファイルの内容が正当であるかどうかを確認します。次に、ファイルを処理します。
マルウェア	悪意のあるプログラム	脅威検出モデルにより、サーバー上で悪意のあるプログラムが実行されていることが検出されました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティのプログラムです。
	悪意のあるIPアドレスへのアクセス	脅威検出モデルにより、サーバー上のプロセスが悪意のあるIPアドレスに接続しようとしていることが検出されました。このIPアドレスは、C&CサーバーのIPアドレス、またはリスクの高い攻撃者によって悪用されたマイニングプールのIPアドレスです。プロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体が悪意のあるコードを通常のプログラムファイルに書き込み、実行します。そのため、多数の正常なプログラムが感染し、ウイルスホストとして検出されることが多い。
	攻撃ツール	脅威検出モデルがサーバー上の攻撃者ツールを検出しました。攻撃者ツールは、侵入プロセス中に特権をエスカレートして機密データを盗むために攻撃者によって悪用されるツール、セキュリティソフトウェアのアンインストールに使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	Backdoorプログラム	脅威検出モデルにより、サーバーでバックドアプログラムが実行されていることが検出されました。バックドアプログラムは、システムに挿入され、攻撃者がサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	疑わしいプログラム	脅威検出モデルにより、サーバー上で疑わしいプログラムが実行されていることが検出されました。ほとんどの場合、疑わしいプログラムは、悪意のあるコードの特徴を有するか、または非常に疑わしいプログラムの特徴を有し、分類される必要がある。コードまたはプログラムの詳細に基づいて、疑わしいプログラムを特定する必要があります。
	ランサムウェア	脅威検出モデルにより、サーバー上でランサムウェアが実行されていることが検出されました。 Ransomwareは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得る悪意のあるプログラムです。
	エクスプロイト	脅威検出モデルにより、サーバーでエクスプロイトが実行されていることが検出されました。エクスプロイトは、オペレーティングシステムとアプリケーションの既知の脆弱性を利用して、特権をエスカレートし、エスケープを実装し、任意のコードを実行します。
	トロイの木馬	脅威検出モデルがサーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬が偽装してシステムに挿入された後、トロイの木馬は悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルにより、サーバー上でワームが実行されていることが検出されました。ワームは、侵入先のサーバーから別のサーバーに拡散するために自分自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルにより、サーバーでマイニングプログラムが実行されていることが検出されました。マイニングプログラムは、サーバーのコンピューティングリソースを消費し、暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは非常に高いCPU使用率を引き起こし、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変化型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自分自身を複製し、バックグラウンドで実行します。このようにして、システムによる洗浄が回避される。
	DDoSトロイの木馬	脅威検出モデルは、DDoSトロイの木馬がサーバーで実行されていることを検出しました。 DDoSトロイの木馬は、特定のサーバーに対してDDoS攻撃を開始するために、侵害されたサーバーから指示を受け取るために使用される悪意のあるプログラムです。
	Hashdumpの実行	脅威検出モデルは、Windows Credentials Editor (WCE) やminikaziなどのマルウェアがサーバー上で実行されていることを検出しました。このようなマルウェアは、システムアカウントのハッシュ値を盗み、パスワード漏洩を引き起こす可能性があります。
疑わしいプロセス	Windowsでの疑わしいスケジュールタスクの作成	脅威検出モデルは、不審なスケジュールタスクがサーバー上に作成されたことを検出しました。潜在的な原因は、マルウェアまたは攻撃者が侵入プロセス中にアクセス許可を維持するタスクを作成したことです。
	リスクツールの呼び出し	脅威検出モデルは、サーバー上のリスクツールの不審な呼び出しを検出しました。リスクツールは、攻撃者がサーバーに侵入するために悪用するプロキシ、トンネル、またはスキャンツールとして使用できます。
	WMICを使用して実行される疑わしいプロセス	脅威検出モデルにより、サーバーがWMICを使用してプログラムを作成および実行しようとしていることが検出されました。潜在的な原因は、サーバーが侵害された後、攻撃者がシステム権限を維持するためのWMICタスクを作成したことです。
	悪意のあるダウンロードソースへの接続	脅威検出モデルにより、サーバーが悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	リスクの高いアプリケーションによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上の高リスクアプリケーションが疑わしいコマンドを実行したことを検出しました。リスクの高いアプリケーションには、webサービス、データベースサービス、スクリプト、スケジュールされたタスク、またはセルフスタートアップ項目があります。これらのアプリケーションが侵害され、攻撃者が悪意のあるコマンドを実行するために使用した可能性があります。
	リスクの高いアプリケーションでの疑わしいファイルの作成	脅威検出モデルは、webアプリケーションなどの機密サービスがサーバー上に実行可能ファイルまたはスクリプトを作成したことを検出しました。潜在的な原因は、攻撃者が脆弱性を悪用してウイルスやトロイの木馬をサーバーに注入したことです。
	疑わしいスクリプト操作	脅威検出モデルでは、サーバーで実行されているスクリプトに関連する一部のコマンドが非常に疑わしいことが検出されました。検出された脅威は、マルウェアまたは攻撃者によって引き起こされる可能性があります。
	疑わしいプロセスパス	脅威検出モデルでは、通常のソフトウェアがインストールされていない異常なパスからサーバー上のプロセスが開始されたことが検出されました。このプロセスは、ウイルス、トロイの木馬、または攻撃者がサーバーに侵入したときに持ち込まれるツールである可能性があります。
	疑わしいファイル名のプロセス	脅威検出モデルでは、サーバー上のプロセスのファイルに疑わしいファイル名拡張子があるか、ファイル名がシステムファイルの名前を模倣していることが検出されました。このプロセスは、ウイルス、トロイの木馬、または攻撃者がサーバーに侵入したときに持ち込まれるツールである可能性があります。
	疑わしいポートリスニング	脅威検出モデルがサーバーで疑わしいポートリスニングを検出しました。攻撃者がサーバーに侵入した後、攻撃者はポートリスニングにncなどのソフトウェアを使用します。このようにして、攻撃者はサーバーから情報を盗むための隠し通信チャネルを確立します。
	疑わしいコマンド	脅威検出モデルは、サーバー上の情報収集コマンドが疑わしいか、実行中のプロセス間の呼び出しが疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	疑わしいファイルの実行	脅威検出モデルは、サーバー上のファイルが書き込まれ、疑わしい方法で実行されたことを検出しました。ファイルは、外部ソースからダウンロードされ、攻撃者によって実行される悪意のあるツールである可能性があります。
	レジストリ設定の不審な変更	脅威検出モデルにより、プロセスがサーバー上のレジストリ構成を変更しようとしていることが検出されました。潜在的な原因は、攻撃者がサーバーにバックドアコードを書き込んだか、攻撃者がシステム権限を取得した後に機密設定を変更したことです。
	疑わしいコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが一連の疑わしいコマンドを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者によって通常実行される一連のコマンドに似ています。疑わしいコマンドの親プロセスを確認することを推奨します。親プロセスは、リモート制御トロイの木馬、脆弱なwebサービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	データダンプのProcDump	脅威検出モデルにより、ProcDumpプロセスがプロセスメモリに格納されている機密データをサーバー上のディスクに保存していることが検出されました。この保存操作は、機密データ侵害を引き起こす可能性があります。
	BITSAdminを使用した不審なプロセスの起動	脅威検出モデルでは、BITSAdminツールを使用してサーバーで疑わしいプロセスを開始していることが検出されました。潜在的な原因は、攻撃者がBITSAdminツールを使用して悪意のあるプログラムをサーバーに埋め込み、悪意のあるコマンドを実行したことです。
	Windowsシステムファイルを使用した悪意のあるコードの読み込み	脅威検出モデルにより、サーバーで悪意のあるコマンドが実行されていることが検出されました。潜在的な原因は、攻撃者がWindowsシステムファイルを使用して悪意のあるコードを実行し、セキュリティソフトウェアの検出を回避したことです。
	自己起動アイテムの不審な変更	脅威検出モデルは、プロセスがサーバー上のセルフスタートアップ項目を変更しようとしていることを検出しました。変更は、システム許可を維持するために攻撃者またはトロイの木馬によって実行され得る。
	attribut.exeを使用したファイルの読み取り専用属性と非表示属性の変更	脅威検出モデルでは、プロセスがattribut.exeを使用してサーバー上のファイルの読み取り専用属性と非表示属性を変更しようとしていることが検出されました。
	システムレジストリでの自己起動アイテムの追加	脅威検出モデルにより、プログラムがサーバー上のレジストリに自己起動項目を追加していることが検出されました。プログラムは、マルウェア、バックドアが注入されたプロモーションソフトウェア、またはサーバーが侵害された後に攻撃者によって挿入された永続的なタスクである可能性があります。プログラムはまた、自己起動を達成するために通常のソフトウェアによって使用された可能性があります。プログラムが信頼できるプログラムであるかどうかを確認することを推奨します。
	FTPを使用したリモートサーバーからディスクへの不審なファイルダウンロード	脅威検出モデルでは、サーバー上のFTPを使用して、プロセスがリモートサーバーから疑わしいファイルをダウンロードしようとしていることが検出されました。
	RDPを使用したディスクへの疑わしいファイルコピー	脅威検出モデルは、攻撃者がRDPを使用して疑わしいファイルをサーバーにコピーしようとしていることを検出しました。潜在的な原因は、攻撃者がサーバーへのログオンに使用されているRDPパスワードを盗んだ、または解読したことです。
	システムバックアップファイルの異常削除	脅威検出モデルにより、プロセスがサーバーからシステムバックアップファイルを削除しようとしていることが検出されました。潜在的な原因は、ランサムウェアがシステムのバックアップファイルを削除して、ファイルの復元を防ぎ、身代金を強要することです。
	システムログの異常削除	脅威検出モデルは、プロセスがシステムログを削除しようとしていることを検出しました。潜在的な原因は、マルウェアや攻撃者が検出を回避するためにシステムログを削除したことです。
	疑わしい攻撃者ツール	脅威検出モデルでは、サーバーで実行されている一部のコマンドが、攻撃者が通常使用するツールと非常によく似ていることが検出されました。コマンドは、侵入プロセス中に攻撃者によって実行され得る。
	Windowsでの不審な特権のエスカレーション	脅威検出モデルでは、サーバーで実行されている一部のコマンドが非常に疑わしいことが検出されました。潜在的な原因は、攻撃者がWindowsシステムの脆弱性またはアプリケーションの脆弱性を悪用して特権をエスカレートしたことです。
	異常なレジストリ操作	脅威検出モデルでは、Windowsレジストリの管理に使用された一部のコマンドが非常に疑わしいことが検出されました。潜在的な原因は、サーバーが侵害された後、マルウェアまたは攻撃者がいくつかのレジストリ構成を変更したことです。
	データベースエクスポートツールの不審な呼び出し	脅威検出モデルでは、サーバー上のプロセスの動作履歴を分析し、データベースエクスポートツールの疑わしい呼び出しを検出しました。潜在的な原因は、サーバーが侵害された後に攻撃者がサーバーからデータを盗んだことです。
	システムツールの不審な呼び出し	脅威検出モデルでは、サーバー上のプロセスがシステムツールを疑わしい方法で呼び出していることが検出されました。潜在的な原因は、トロイの木馬や攻撃者がツールを呼び出して、悪意のあるファイルのダウンロード、悪意のあるコードの実行、暗号化、復号化などの悪意のある操作を実行し、一般的なセキュリティソフトウェアの検出を回避することです。
	システムセキュリティ構成の不審な変更	脅威検出モデルにより、サーバー上のプロセスがシステムのセキュリティ構成を変更していることが検出されました。潜在的な原因は、マルウェアまたは攻撃者が検出を回避するためにファイアウォールとウイルス対策ソフトウェアの構成を変更したことです。
	悪意のあるコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	Cobalt Strikeが実行する悪意のあるコマンド	脅威検出モデルは、Cobalt Strikeエージェントがサーバーにインストールされ、Cobalt Strikeエージェントが悪意のあるコマンドを実行していることを検出しました。
	FTPアプリケーションによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のFTPアプリケーションが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がFTPアプリケーションの弱いパスワードを悪用し、FTPを使用してバッチファイルを実行したことです。
	Javaアプリケーションで実行される疑わしいコマンド	脅威検出モデルでは、サーバー上のJavaプロセスが、悪意のあるプログラムのダウンロードやバックドアの追加などのリスクの高い操作を実行したことが検出されました。潜在的な原因は、脆弱なwebフレームワークまたはミドルウェアを使用したことです。
	LSASSが実行する疑わしいプロセス	脅威検出モデルにより、lsass.exeプロセスがサーバーで疑わしいコマンドを実行したことが検出されました。 lsass.exeプロセスは、Windowsオペレーティングシステムのセキュリティ认证プロセスです。プロセスは、ユーザを認証し、トークンを生成する。攻撃者がターゲットプロセスの完全な制御権限を取得できるように、攻撃者は複数のシステム脆弱性を悪用してこのプロセスに対するバッファオーバーフロー攻撃を開始します。
	MySQLによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のMySQLサービスが疑わしいコマンドを実行したことが検出されました。潜在的な原因には、MySQLサービスのパスワードの弱さと、SQL文が挿入されたwebサービスが含まれます。
	PostgreSQLアプリケーションで実行される疑わしいコマンド	脅威検出モデルは、サーバー上のPostgreSQLアプリケーションが疑わしいコマンドを実行したことを検出しました。潜在的な原因には、PostgreSQLサービスのパスワードの弱さや、悪意のあるSQL文が挿入されたwebサービスなどがあります。
	Pythonアプリケーションによる疑わしいコマンドの実行	脅威検出モデルは、サーバー上のPythonアプリケーションが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、サーバー上のPythonベースのwebアプリケーションにRCEの脆弱性があり、侵害されていることです。
	regsvr32によって実行される疑わしいコマンド	regsvr32.exeがサーバーで疑わしいコマンドを実行していることを脅威検出モデルが検出しました。潜在的な原因は、攻撃者が検出を回避するためにWindows OCXファイルに悪意のあるコードを注入し、regsvr32.exeを使用してサーバーのメモリ内のコードを実行したことです。
	rundll32によって実行される疑わしいコマンド	脅威検出モデルは、rundll32.exeがサーバーで疑わしいコマンドを実行していることを検出しました。潜在的な原因は、攻撃者が検出を回避するためにWindows DLLファイルに悪意のあるコードを注入し、rundll32.exeを使用してサーバーのメモリ内のコードを実行したことです。
	SQL Serverによるディスクへの不審なファイル書き込み	脅威検出モデルにより、サーバー上のSQL Serverアプリケーションが不審なファイルをディスクに書き込もうとしていることが検出されました。潜在的な原因は、攻撃者がRedisアプリケーションの弱いパスワードを解読して、SQL Serverアプリケーションで悪意のあるSQL文を実行したことです。
	SQL Serverアプリケーションで実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のSQL Serverアプリケーションが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がSQL Serverアプリケーションの弱いパスワードを解読し、SQL Serverアプリケーションのコマンド実行コンポーネントを使用して悪意のあるコマンドを実行したことです。
	Tomcatが実行する疑わしいコマンド	脅威検出モデルは、サーバー上のTomcatコンテナーが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がTomcatコンテナのJavaアプリケーションのWebshellまたはRCEの脆弱性を悪用して悪意のあるコマンドを実行したことです。
	Windows Defender構成の変更	脅威検出モデルでは、サーバーがレジストリを変更してWindows Defenderの一部の機能を無効にしていることが検出されました。変更操作は、サーバーが侵害された後に検出と防止を回避しようとした攻撃者によって実行された可能性があります。
	ポート3389のWindows RDP設定の変更	脅威検出モデルにより、サーバーのRDP設定が変更されていることが検出されました。潜在的な原因は、攻撃者がサーバーが侵害された後に権限を維持するためにRDP設定を変更したことです。
	Windowsでのスケジュールタスクの作成	脅威検出モデルは、不審なスケジュールタスクがサーバー上に作成されていることを検出しました。潜在的な原因は、攻撃者がサーバーにバックドアを挿入して、サーバーが侵害された後に権限を維持していることです。
	Windowsでの不審なサービス起動項目の作成	脅威検出モデルは、上流プロセスがサーバー上に不審なサービス起動項目を作成しようとしていることを検出しました。潜在的な原因は、攻撃者がサーバーに悪意のあるプログラムを挿入したことです。悪意のあるプログラムが実行されている場合、権限を維持するためのサービス起動項目が作成されます。
	Windowsでのログオン資格情報の侵害	脅威検出モデルでは、サーバー上の一部のプログラムがレジストリのWDigestアイテムを変更したことが検出されました。潜在的な原因は、攻撃者がUseLogonCredentialの値を変更して、ログオン資格情報をプレーンテキストで保存できるようにしたことです。これにより、攻撃者はサーバーのメモリからログオン資格情報を盗むことができます。
	WindowsでのmshtaによるHTMLスクリプトの実行	脅威検出モデルでは、サーバー上のプロセスがmshtaを呼び出してHTMLページに埋め込まれたスクリプトを実行しようとしていることが検出されました。これにより、攻撃者は悪意のあるプログラムをサーバーに埋め込むことができます。
	Windowsでの疑わしいポート転送	脅威検出モデルは、内部ネットワークでポート転送のコマンドが実行されていることを検出しました。潜在的な原因は、攻撃者が内部ネットワークに対して横方向移動攻撃を開始していたことです。
	Windowsファイアウォール構成の変更	脅威検出モデルは、プロセスがWindowsファイアウォールの構成を変更しようとしていることを検出しました。
	Windowsでのセルフスタートアップアイテムの追加	脅威検出モデルは、異常な自己起動項目がサーバーに追加されたことを検出しました。潜在的な原因は、攻撃者が悪意のあるプログラムをセルフスタートアップアイテムに追加して、サーバーが侵害された後も権限を維持していることです。
	Windowsアカウントでの異常な操作	脅威検出モデルは、Windowsアカウントがサーバーで操作を実行するために使用され、実行中のコマンドが疑わしいことを検出しました。潜在的な原因は、マルウェアまたは攻撃者がWindowsアカウントを使用してサーバーで操作を実行したことです。
その他	Security Centerエージェントの異常切断	脅威検出モデルにより、サーバー上のSecurity CenterエージェントのメインプロセスAliYunDunが例外的に停止し、エージェントがAlibaba Cloudから切断されたことが検出されました。切断は、ネットワークの不安定性によって引き起こされ、短期間続く可能性があります。もう1つの潜在的な原因は、サーバーが侵害された後にSecurity Centerエージェントがサーバーからアンインストールされたことです。この場合、サーバーにログインし、Security Centerエージェントが実行されているかどうかを確認する必要があります。エージェントが起動していない場合は, エージェントを起動してください。
ウェブシェル	Webshellファイル	脅威検出モデルは、サーバー上の疑わしいWebシェルファイルを検出しました。ウェブシェルファイルは、攻撃者がウェブサイトに侵入した後にアクセス許可を維持するために挿入され、攻撃者によって使用されるバックドアファイルであり得る。
珍しいログオン	悪意のあるIPアドレスを使用したログイン	脅威検出モデルは、悪意のあるIPアドレスがサーバーへのログオンに使用されたことを検出しました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、ECSインスタンスへのログインに使用するパスワードを直ちに変更することを推奨します。
	悪意のあるIPアドレスを使用したFTPログオン	脅威検出モデルは、悪意のあるIPアドレスがサーバー上のFTPアプリケーションへのログオンに使用されたことを検出しました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、FTPアプリケーションへのログインに使用するパスワードをすぐに変更することをお勧めします。
	悪意のあるIPアドレスを使用したMySQLログオン	脅威検出モデルにより、サーバー上のMySQLアプリケーションへのログインに悪意のあるIPアドレスが使用されたことが検出されました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、MySQLアプリケーションへのログインに使用するパスワードをすぐに変更することをお勧めします。
	悪意のあるIPアドレスを使用したSQL Serverログオン	脅威検出モデルにより、サーバー上のSQL Serverアプリケーションへのログインに悪意のあるIPアドレスが使用されたことが検出されました。 IPアドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、SQL Serverアプリケーションへのログインに使用するパスワードを直ちに変更することをお勧めします。
	バックドアアカウントを使用したサーバーログイン	脅威検出モデルでは、攻撃者がサーバーにバックドアアカウントを挿入し、そのバックドアアカウントを使用してサーバーにログオンしたことが検出されました。この操作を実行しなかった場合は、すぐにバックドアアカウントを削除することを推奨します。
	パスワードが弱いアカウントを使用したサーバーログイン	脅威検出モデルでは、パスワードが弱いアカウントを使用してサーバーにログインしたことが検出されました。このログオンは、自分自身または攻撃者によって実行され得る。ほとんどの場合、攻撃者は弱いパスワードを解読してサーバーに侵入します。強力なパスワードをすぐに設定することを推奨します。
	疑わしい外部ログオンスキャン	脅威検出モデルでは、SSH、RDP、SMBなどのプロトコルに対してサーバーが頻繁にブルートフォース攻撃を開始したことが検出されました。潜在的な原因は、サーバーが攻撃され、攻撃者が他のサーバーを攻撃するために使用したことです。
	珍しい場所からのログオン	脅威検出モデルでは、サーバーが短時間で互いに離れた2つの場所からログオンしたことが検出されました。場所の1つは、通常のログオン場所です。異なる場所からのログオンは、ログオン要求の1つが通常の場所ではなく異常な場所から開始されることを示す。この操作を実行しなかった場合は、サーバーへのログインに使用するパスワードをすぐに変更することをお勧めします。
	珍しいアカウントを使用したログオン	脅威検出モデルにより、管理者グループに異常なアカウントが追加され、そのアカウントがサーバーへのログオンに使用されたことが検出されました。この操作を実行しなかった場合は、すぐにアカウントを削除することをお勧めします。
	複数の無効なユーザーによるブルートフォース攻撃によりECSインスタンスが侵害されました	脅威検出モデルでは、複数の無効なユーザーが同じIPアドレスを使用してサーバーにログオンしたことが検出されました。この操作を実行しなかった場合は、ECSインスタンスへのログインに使用するパスワードを直ちに変更することを推奨します。
	SSHでのブルートフォース攻撃によりECSインスタンスが侵害されました	脅威検出モデルでは、サーバーがSSHでブルートフォース攻撃を受けていることが検出されました。攻撃者はSSHサービスパスワードを解読し、数回試行した後にサーバーにログオンしました。
	疑わしいコマンドシーケンス実行前のSSH経由のECSインスタンスログイン	脅威検出モデルでは、IPアドレスを使用してサーバーにログインした後に、サーバーで悪意のあるコマンドが実行されたことが検出されました。潜在的な原因は、サーバーへのログオンに使用されたパスワードが弱いか、漏洩していることです。
	異常な時間範囲内でのECSインスタンスへのログイン	サーバーがログオンしている時刻が、指定したログオン時刻の範囲内ではありません。ログインが有効かどうかを確認することを推奨します。
	珍しいアカウントを使用したECSインスタンスへのログイン	サーバーへのログオンに使用されるアカウントが、正当なアカウントの条件と一致しません。ログインが有効かどうかを確認することを推奨します。
	異常なIPアドレスを使用したECSインスタンスへのログイン	サーバーへのログオンに使用されるIPアドレスは、指定したIPアドレス内にありません。ログインが有効かどうかを確認することを推奨します。
	異常な場所からECSインスタンスにログインする	サーバーがログオンしている場所は、指定したログオン場所内にありません。ログインが有効かどうかを確認することを推奨します。
異常なネットワーク接続	ポート転送	脅威検出モデルにより、サーバー上のプロセスがポート転送用のトンネルを設定しようとしていることが検出されました。潜在的な原因は、攻撃者が侵入先のサーバーを使用して、同じ内部ネットワークにデプロイされている他のサーバーを攻撃したことです。
	悪意のあるドメイン名へのアクセス	脅威検出モデルはDNSトラフィックを分析し、サーバーがリスクの高いドメイン名を解決したことを検出しました。ドメイン名は、リモコンのドメイン名、ボットネット組織のドメイン名、またはマイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入し、サーバーを悪用した可能性があります。
	Meterpreterを使用した逆シェル接続	脅威検出モデルがサーバー上の疑わしいプロセスを検出しました。プロセスは、攻撃者のサーバーがMeterpreterを使用してサーバー上でより多くの操作を実行するためのリバースシェル接続を確立しようとしていました。詳細については、「複数のディメンションからの逆シェルの検出」をご参照ください。
	鉱山プールとのコミュニケーション	脅威検出モデルでは、サーバーがマイニングプールのIPアドレスと通信していることが検出されました。潜在的な原因は、サーバーが攻撃者によって侵入され、マイニングに使用されていることです。
	内部ネットワークスキャン	脅威検出モデルでは、サーバー上のプロセスが複数の内部IPアドレスの指定されたポートに対して短時間でスキャンを開始したことが検出されました。潜在的な原因は、攻撃者がサーバーが侵害された後に横方向移動攻撃を開始しようとしたことです。
	疑わしい機密ポートスキャン	脅威検出モデルでは、サーバー上のプロセスが短時間で機密ポートに多数のネットワークリクエストを送信したことが検出されました。挙動は、ポートスキャン挙動であってもよい。
	異常なトラフィック	脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データ侵害、疑わしいプロキシやトンネルによって引き起こされる可能性があります。アラートの詳細に基づいてトラフィックを処理することを推奨します。
	悪意のあるダウンロードソースへの積極的な接続	脅威検出モデルでは、サーバーがHTTPを使用して悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Windowsの異常なネットワーク接続	脅威検出モデルは、サーバー上のプロセスの接続が異常であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
疑わしいアカウント	不審なアカウントを使用したシステムログイン	脅威検出モデルでは、ユーザーが不正アカウント、システム組み込みアカウント、または攻撃者アカウントを使用してシステムにログオンしようとしていることが検出されました。ログオンは、攻撃者によって実行され得る。

コンテナのアラート

アラートタイプ	アラート名	説明
マルウェア	悪意のあるプログラム	脅威検出モデルにより、サーバー上で悪意のあるプログラムが実行されていることが検出されました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティのプログラムです。
	悪意のあるIPアドレスへのアクセス	脅威検出モデルにより、サーバー上のプロセスが悪意のあるIPアドレスに接続しようとしていることが検出されました。このIPアドレスは、C&CサーバーのIPアドレス、またはリスクの高い攻撃者によって悪用されたマイニングプールのIPアドレスです。プロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体が悪意のあるコードを通常のプログラムファイルに書き込み、実行します。そのため、多数の正常なプログラムが感染し、ウイルスホストとして検出されることが多い。
	攻撃ツール	脅威検出モデルがサーバー上の攻撃者ツールを検出しました。攻撃者ツールは、侵入プロセス中に特権をエスカレートして機密データを盗むために攻撃者によって悪用されるツール、セキュリティソフトウェアのアンインストールに使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	Backdoorプログラム	脅威検出モデルにより、サーバーでバックドアプログラムが実行されていることが検出されました。バックドアプログラムは、システムに挿入され、攻撃者がサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	疑わしいプログラム	脅威検出モデルにより、サーバー上で疑わしいプログラムが実行されていることが検出されました。ほとんどの場合、疑わしいプログラムは、悪意のあるコードの特徴を有するか、または非常に疑わしいプログラムの特徴を有し、分類される必要がある。コードまたはプログラムの詳細に基づいて、疑わしいプログラムを特定する必要があります。
	ランサムウェア	脅威検出モデルにより、サーバー上でランサムウェアが実行されていることが検出されました。 Ransomwareは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得る悪意のあるプログラムです。
	トロイの木馬	脅威検出モデルがサーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬が偽装してシステムに挿入された後、トロイの木馬は悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルにより、サーバー上でワームが実行されていることが検出されました。ワームは、侵入先のサーバーから別のサーバーに拡散するために自分自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルにより、サーバーでマイニングプログラムが実行されていることが検出されました。マイニングプログラムは、サーバーのコンピューティングリソースを消費し、暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは非常に高いCPU使用率を引き起こし、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変化型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自分自身を複製し、バックグラウンドで実行します。このようにして、システムによる洗浄が回避される。
	DDoSトロイの木馬	脅威検出モデルは、DDoSトロイの木馬がサーバーで実行されていることを検出しました。 DDoSトロイの木馬は、特定のサーバーに対してDDoS攻撃を開始するために、侵害されたサーバーから指示を受け取るために使用される悪意のあるプログラムです。
疑わしいプロセス	ファイル時間の改ざん	脅威検出モデルは、サーバー上のプロセスがファイル時刻を変更しようとしたことを検出しました。プロセスは、検出を回避するために異常なファイルの実際の作成、アクセス、または変更時間を偽造するために実際のファイル時間を模倣する攻撃者によってトリガされ得る。
	セキュリティリスクをもたらす可能性のあるDockerでのリモートAPIデバッグ	脅威検出モデルにより、サーバー上でDockerリモートデバッグインターフェイスが0.0.0.0に開かれていることが検出されました。インターネット上で公開されているインターフェースは、ワームによってすぐに侵入されます。インターフェイスが信頼できるネットワーク上でのみ公開されていることを確認します。
	悪意のあるダウンロードソースへの接続	脅威検出モデルにより、サーバーが悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	プロセスによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、プロセスが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がサービスのRCE脆弱性を悪用してコマンドを実行したことです。
	不審なエンコードされたコマンド	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	特権コンテナの不審な起動。	脅威検出モデルでは、サーバーで疑わしい特権コンテナが開始され、コンテナのセキュリティに影響を与えたことが検出されました。コンテナが侵害された場合、サーバー上のコンテナとアセットが影響を受けます。特権コンテナが信頼できるイメージソースを使用し、コンテナで実行されているサービスが侵入から保護されていることを確認します。
	疑わしいファイルの実行	脅威検出モデルは、サーバー上のファイルが書き込まれ、疑わしい方法で実行されたことを検出しました。ファイルは、外部ソースからダウンロードされ、攻撃者によって実行される悪意のあるツールである可能性があります。
	不審な行動	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、疑わしいコマンドを検出しました。
	Container networkのスキャン動作	脅威検出モデルでは、サーバー上のコンテナーが疑わしいネットワークスキャンをプロアクティブに実行していることが検出されました。スキャンは攻撃者によって実行され、サーバーを侵害し、侵害されたサーバーから他のサーバーに移動する可能性があります。
	高リスクコンテナ関連の操作	脅威検出モデルでは、サーバーで高リスクのコンテナー関連の操作が実行されていることが検出されました。高リスクの操作には、高リスクのアクセス許可を使用したコンテナーの起動と、機密ディレクトリ、ファイル、ポートのコンテナーへのマッピングが含まれます。
	コンテナ内での疑わしいコマンドの実行	脅威検出モデルは、侵入の可能性を示す疑わしいコマンドがコンテナ内で実行されていることを検出しました。
	コンテナ内の資格情報の収集	脅威検出モデルは、コンテナ内の機密情報およびファイルへのアクセスを検出しました。情報とファイルには、Docker/Swarm/Kubernetesの設定ファイル、データベース接続設定、ログオン資格情報、AccessKeyペア、証明書、および秘密鍵ファイルが含まれます。コンテナが侵害され、データが漏洩しているかどうかを確認することを推奨します。
	コンテナまたはコンテナエスケープでの特権エスカレーション	脅威検出モデルは、コンテナ内の特権または脆弱性をエスカレートするために使用された疑わしいスクリプトまたは命令を検出しました。潜在的な原因は、コンテナが危険にさらされていることです。
	コンテナ情報の収集	脅威検出モデルでは、サーバー上のコンテナー内で疑わしいコマンドが実行されたことが検出されました。これらのコマンドは通常、コンテナが侵害された後にコンテナ内の情報を収集するために攻撃者によって使用されます。操作が信頼できる操作でない場合は、すぐにコンテナをリセットすることをお勧めします。信頼できる操作には、セキュリティソフトウェアの操作と管理者のO&M操作が含まれます。
	悪意のあるコンテナイメージの実行	脅威検出モデルは、サーバー上で悪意のあるコンテナイメージが実行されていることを検出しました。このイメージには、バックドア、マイニングプログラム、ウイルス、または既知の深刻な脆弱性が含まれている場合があります。トラブルシューティングを実行し、信頼できるイメージリソースを使用することを推奨します。
	Dockerのファイルに対する異常な操作	脅威検出モデルにより、サーバー上のDockerプロセスがシステムのコアサービス構成または機密ファイルを変更していることが検出されました。潜在的な原因は、攻撃者がDockerサービスの脆弱性を悪用して一部のDockerサービスをハイジャックし、そのサービスを使用してDocker runCのCVE-2019-5736やDocker CPのCVE-2019-14271などのコンテナエスケープ攻撃を開始したことです。現在のバージョンのDockerコンテナにこのような脆弱性があるかどうかを確認することを推奨します。
	FTPアプリケーションによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のFTPアプリケーションが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がFTPアプリケーションの弱いパスワードを悪用し、FTPを使用してバッチファイルを実行したことです。
	Javaアプリケーションで実行される疑わしいコマンド	脅威検出モデルでは、サーバー上のJavaプロセスが、悪意のあるプログラムのダウンロードやバックドアの追加などのリスクの高い操作を実行したことが検出されました。潜在的な原因は、脆弱なwebフレームワークまたはミドルウェアを使用したことです。
	Kubernetesサービスアカウントの異常な動作	脅威検出モデルは、コンテナ内で異常な命令を検出しました。 Kubernetesサービスアカウントを使用してKubernetes APIサーバーに接続しようとしました。操作が信頼できる操作であるかどうかを確認することを推奨します。信頼できる操作には、セキュリティソフトウェアの操作と管理者のO&M操作が含まれます。最小特権の原則に基づいて、アカウントに権限が付与されていることを確認してください。これにより、コンテナが侵害された後、攻撃者がKubernetes APIを使用して侵害されたコンテナから他のコンテナに移動することを防ぎます。
	Linuxでの疑わしいコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが一連の疑わしいコマンドを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者によって通常実行される一連のコマンドに似ています。疑わしいコマンドの親プロセスを確認することを推奨します。親プロセスは、リモート制御トロイの木馬、脆弱なwebサービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	Linuxでの疑わしいコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に疑わしいことを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	Oracleによって実行される疑わしいコマンド	脅威検出モデルにより、サーバー上のOracleデータベースが疑わしいコマンドを実行したことが検出されました。潜在的な原因は、攻撃者がOracleデータベースのパスワードが漏洩した後にリモート・コマンドを実行したことです。
	Tomcatが実行する疑わしいコマンド	脅威検出モデルは、サーバー上のTomcatコンテナーが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がTomcatコンテナのJavaアプリケーションのWebshellまたはRCEの脆弱性を悪用して悪意のあるコマンドを実行したことです。
K8s異常な行動	悪意のあるイメージに基づくポッドの起動	脅威検出モデルは、悪意のあるイメージを含むポッドがKubernetesクラスターで起動されたことを検出しました。イメージが信頼できるイメージソースからのものであり、ポッド内のプロセスにバックドアやマイニングプログラムなどの悪意のあるプログラムがあるかどうかを確認することをお勧めします。
	Kubernetes APIサーバーで実行される疑わしい命令	脅威検出モデルは、疑わしい命令がKubernetes APIサーバーで実行されたことを検出しました。潜在的な原因は、攻撃者がAPIサーバーの資格情報を取得して使用したことです。サーバーが侵害されているかどうかを確認することを推奨します。
	KubernetesクラスターのSecretsへの異常なアクセス	脅威検出モデルは、SecretsがKubernetesクラスター内で列挙されていることを検出しました。潜在的な原因は、クラスターが侵害された後、攻撃者がKubernetesクラスター内のSecretsの機密情報を盗んでいたことです。操作が信頼できるプログラムまたは管理者によって実行されたかどうかを確認することを推奨します。
	あるアプリケーションから別のアプリケーションへのKubernetesサービスアカウントの転送	脅威検出モデルでは、サービスアカウントの1つが過去のベースライン以外のアクセス許可を要求したか、認証に何度も失敗したことが検出されました。潜在的な原因は、攻撃者がポッドに侵入し、サーバーから取得したサービスアカウントの資格情報を使用してAPIサーバーを攻撃したことです。すぐにトラブルシューティングを実行することを推奨します。
	Kubernetes APIログでの匿名ユーザーの認証に成功	脅威検出モデルは、Kubernetes APIログを分析し、匿名ユーザーがKubernetesクラスターにログオンしていることを検出しました。ほとんどの場合、匿名ユーザーはKubernetesクラスターのO&Mには使用できません。匿名ユーザーがクラスターにログオンし、クラスターがインターネットに公開されている場合、クラスターのリスクは高くなります。操作が信頼できる管理者によって実行されているかどうかを確認し、匿名ユーザーのアクセス権限を直ちに取り消すことを推奨します。
	機密ノードディレクトリのマウント	ポッドの起動時に、機密ディレクトリまたはファイルがマウントされたことが脅威検出モデルによって検出されました。潜在的な原因は、攻撃者がポッド層からノード層にエスケープする機密ファイルをマウントして、永続性を実現していることです。操作が信頼できるかどうかを確認することを推奨します。
ウェブシェル	Webshellファイル	脅威検出モデルは、サーバー上の疑わしいWebシェルファイルを検出しました。ウェブシェルファイルは、攻撃者がウェブサイトに侵入した後にアクセス許可を維持するために挿入され、攻撃者によって使用されるバックドアファイルであり得る。
異常なネットワーク接続	疑わしいアウトバウンド接続	脅威検出モデルにより、サーバーがWebサイトにアクセスしようとしていることが検出されました。ウェブサイトは、マイニングプールアドレス、C&Cバックドア、およびボットネット組織のドメイン名に関連していてもよい。
	鉱山プールとのコミュニケーション	脅威検出モデルでは、サーバーがマイニングプールのIPアドレスと通信していることが検出されました。潜在的な原因は、サーバーが攻撃者によって侵入され、マイニングに使用されていることです。
	内部ネットワークスキャン	脅威検出モデルでは、サーバー上のプロセスが複数の内部IPアドレスの指定されたポートに対して短時間でスキャンを開始したことが検出されました。潜在的な原因は、攻撃者がサーバーが侵害された後に横方向移動攻撃を開始しようとしたことです。
	Redisが実行する疑わしいコマンド	攻撃者がRedisサービスに接続した後、サーバー上のRedisサービスが悪意のあるSQLステートメントを実行したことが脅威検出モデルによって検出されました。この場合、攻撃者がサーバーを制御した可能性があります。

Alibaba Cloudプラットフォームのアラート

アラートタイプ	アラート名	説明
クラウド脅威の検出	ユーザーパスワードの不審な変更	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用して特定のユーザーのパスワードを変更したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	セキュリティグループルールの不審列挙	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してセキュリティグループポリシーを列挙したことが検出されましたが、これは高頻度の動作ではありませんでした。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	ユーザーの疑わしい列挙	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してすべてのユーザーを列挙したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	特定の役割の疑わしい列挙	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用して特定のロールを列挙していることが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	セキュリティグループルールの不審な削除	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してセキュリティグループルールを削除したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	セキュリティグループルールの不審な変更	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してセキュリティグループルールを変更したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	ECSパスワード変更の不審な動作	脅威検出モデルでは、Alibaba Cloudアカウントが、APIを使用してECSインスタンスにログインするために使用されたパスワードを変更したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	セキュリティグループルールの不審な追加	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してセキュリティグループルールを追加したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	ECSインスタンスへのSSHキーの不審な追加	脅威検出モデルでは、Alibaba CloudアカウントがAPIを使用してSSHキーを追加したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	Cloud Assistantの異常なコマンド	脅威検出モデルでは、Alibaba CloudアカウントがCloud Assistant APIを使用して悪意のあるコマンドを実行したことが検出されました。潜在的な原因は、攻撃者が悪意のある操作を実行するためにAccessKeyペアを取得したことです。
	ActionTrail無効	脅威検出モデルは、Alibaba CloudアカウントがAPIを使用してActionTrailを無効にしたことを検出しました。潜在的な原因は、攻撃者が悪意のある動作の記録を防ぐためにActionTrailを無効にしたことです。セキュリティを考慮して、ActionTrailを有効にすることを推奨します。
	ActionTrailからOSSへのログ配信が無効	脅威検出モデルは、Alibaba CloudアカウントがAPIを使用してActionTrailを無効にしたことを検出しました。潜在的な原因は、攻撃者が悪意のある動作の記録を防ぐためにActionTrailを無効にしたことです。セキュリティを考慮して、ActionTrailからSimple log Serviceへのログ配信機能を有効にすることを推奨します。
	ActionTrailからSimple Log Serviceへのログ配信の無効化	脅威検出モデルは、Alibaba CloudアカウントがAPIを使用してActionTrailを無効にしたことを検出しました。潜在的な原因は、攻撃者が悪意のある動作の記録を防ぐためにActionTrailを無効にしたことです。セキュリティを考慮して、ActionTrailからSimple log Serviceへのログ配信機能を有効にすることを推奨します。

トラフィックの分析によって生成されるアラート

アラートタイプ	アラート名	説明
異常なネットワーク接続	悪意のあるドメイン名へのアクセス	脅威検出モデルはDNSトラフィックを分析し、サーバーがリスクの高いドメイン名を解決したことを検出しました。ドメイン名は、リモコンのドメイン名、ボットネット組織のドメイン名、またはマイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入し、サーバーを悪用した可能性があります。
	Meterpreterを使用した逆シェル接続	脅威検出モデルがサーバー上の疑わしいプロセスを検出しました。プロセスは、攻撃者のサーバーがMeterpreterを使用してサーバー上でより多くの操作を実行するためのリバースシェル接続を確立しようとしていました。
	鉱山プールとのコミュニケーション	脅威検出モデルでは、サーバーがマイニングプールのIPアドレスと通信していることが検出されました。潜在的な原因は、サーバーが攻撃者によって侵入され、マイニングに使用されていることです。
	異常なトラフィック	脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データ侵害、疑わしいプロキシやトンネルによって引き起こされる可能性があります。アラートの詳細に基づいてトラフィックを処理することを推奨します。
	悪意のあるダウンロードソースへの積極的な接続	脅威検出モデルでは、サーバーがHTTPを使用して悪意のあるダウンロードソースに接続しようとしていることが検出されました。潜在的な原因は、攻撃者が弱いパスワードやコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Redisが実行する疑わしいコマンド	攻撃者がRedisサービスに接続した後、サーバー上のRedisサービスが悪意のあるSQLステートメントを実行したことが脅威検出モデルによって検出されました。この場合、攻撃者がサーバーを制御した可能性があります。
Webアプリケーションの脅威検出	SQL インジェクション	脅威検出モデルはHTTPトラフィックを分析し、サーバー上のWebサービスにSQLインジェクションの脆弱性が疑われ、攻撃者によって悪用されたことを検出しました。
	リスクの高い脆弱性の悪用に成功	脅威検出モデルでは、HTTPトラフィックを分析し、攻撃者によって悪用されたリスクの高いweb脆弱性がサーバーにあることを検出しました。
	機密ファイルのリーク	脅威検出モデルはHTTPトラフィックを分析し、サーバー上の機密ファイルがHTTP経由で外部IPアドレスからアクセスされたことを検出しました。これにより、データ侵害が発生する可能性があります。
	webサービスに対する攻撃の疑い	脅威検出モデルでは、サーバーで生成されたHTTPリクエストログにコマンドラインが含まれ、HTTPレスポンスログにコマンド出力が含まれていることが検出されました。潜在的な原因は、webサービスでコマンド実行の脆弱性が検出され、攻撃者によって悪用されたことです。

ファイルの内容を分析して生成されるアラート

アラートタイプ	アラート名	説明
Persistence	Linuxでの疑わしいスケジュールタスク	脅威検出モデルは、サーバーで疑わしいスケジュールタスクを検出しました。タスクは、攻撃者がサーバーに残した永続的な動作である可能性があります。
悪意のあるスクリプト	不正なスクリプトファイルの検出	脅威検出モデルは、サーバー上の悪意のあるスクリプトファイルを検出しました。ファイルは、サーバーに侵入した攻撃者によって挿入される可能性があります。悪意のあるスクリプトのタグに基づいて、ファイルの内容が正当であるかどうかを確認します。次に、ファイルを処理します。
マルウェア	汚染された基本ソフトウェア	脅威検出モデルは、サーバー上の汚染された基本ソフトウェアを検出しました。ほとんどの場合、汚染された基本ソフトウェアは、悪意のあるコードが注入されるシステムプログラムです。汚染された基本ソフトウェアは基本機能を提供しますが、悪意のある動作をひそかに実行します。
	悪意のあるプログラム	脅威検出モデルにより、サーバー上で悪意のあるプログラムが実行されていることが検出されました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティのプログラムです。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体が悪意のあるコードを通常のプログラムファイルに書き込み、実行します。そのため、多数の正常なプログラムが感染し、ウイルスホストとして検出されることが多い。
	攻撃ツール	脅威検出モデルがサーバー上の攻撃者ツールを検出しました。攻撃者ツールは、侵入プロセス中に特権をエスカレートして機密データを盗むために攻撃者によって悪用されるツール、セキュリティソフトウェアのアンインストールに使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	Backdoorプログラム	脅威検出モデルにより、サーバーでバックドアプログラムが実行されていることが検出されました。バックドアプログラムは、システムに挿入され、攻撃者がサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	疑わしいプログラム	脅威検出モデルにより、サーバー上で疑わしいプログラムが実行されていることが検出されました。ほとんどの場合、疑わしいプログラムは、悪意のあるコードの特徴を有するか、または非常に疑わしいプログラムの特徴を有し、分類される必要がある。コードまたはプログラムの詳細に基づいて、疑わしいプログラムを特定する必要があります。
	ランサムウェア	脅威検出モデルにより、サーバー上でランサムウェアが実行されていることが検出されました。 Ransomwareは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得る悪意のあるプログラムです。
	トロイの木馬	脅威検出モデルがサーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬が偽装してシステムに挿入された後、トロイの木馬は悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルにより、サーバー上でワームが実行されていることが検出されました。ワームは、侵入先のサーバーから別のサーバーに拡散するために自分自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルにより、サーバーでマイニングプログラムが実行されていることが検出されました。マイニングプログラムは、サーバーのコンピューティングリソースを消費し、暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは非常に高いCPU使用率を引き起こし、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変化型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自分自身を複製し、バックグラウンドで実行します。このようにして、システムによる洗浄が回避される。
	DDoSトロイの木馬	脅威検出モデルは、DDoSトロイの木馬がサーバーで実行されていることを検出しました。 DDoSトロイの木馬は、特定のサーバーに対してDDoS攻撃を開始するために、侵害されたサーバーから指示を受け取るために使用される悪意のあるプログラムです。
	ルートキット	脅威検出モデルがサーバーでルートキットを検出しました。ルートキットは、基になるシステムに挿入される悪意のあるモジュールです。ルートキットは、それ自体または他の悪意のあるプログラムの痕跡を隠すために使用されます。
ウェブシェル	Webshellファイル	脅威検出モデルは、サーバー上の疑わしいWebシェルファイルを検出しました。ウェブシェルファイルは、攻撃者がウェブサイトに侵入した後にアクセス許可を維持するために挿入され、攻撃者によって使用されるバックドアファイルであり得る。

ファイルなしマルウェアに関連するアラート

アラートタイプ	アラート名	説明
Persistence	疑わしいバックドア	脅威検出モデルは、サーバー上のWMIまたはbitsadminバックドアを検出しました。このようなバックドアは、サーバーが侵害された後、攻撃者によってシステム権限を維持するために残された可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリ内の悪意のある命令を検出しました。プロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが注入されたプロセスである可能性があります。
	異常なレジストリ構成	脅威検出モデルにより、サーバー上の疑わしいレジストリ構成が検出されました。ほとんどの場合、いくつかのキーレジストリ構成は、永続性を達成したり妨害行為を行うためにマルウェアによって変更される可能性があります。
	コバルトストライクRAT	脅威検出モデルは、サーバー上のプロセスのメモリ内のCobalt Strike RATの悪意のあるコードを検出しました。プロセスは、悪意のあるプロセスまたは悪意のあるコードが注入されたプロセスであり得る。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Pythonなどの悪意のあるスクリプトコードがサーバーで実行されたことを検出しました。
疑わしいプロセス	プロセスによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のプロセスの動作履歴を自動的に分析し、プロセスが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がサービスのRCE脆弱性を悪用してコマンドを実行したことです。
	レジストリ設定の不審な変更	脅威検出モデルにより、プロセスがサーバー上のレジストリ構成を変更しようとしていることが検出されました。潜在的な原因は、攻撃者がサーバーにバックドアコードを書き込んだか、攻撃者がシステム権限を取得した後に機密設定を変更したことです。
	Javaアプリケーションで実行される疑わしいコマンド	脅威検出モデルでは、サーバー上のJavaプロセスが、悪意のあるプログラムのダウンロードやバックドアの追加などのリスクの高い操作を実行したことが検出されました。潜在的な原因は、脆弱なwebフレームワークまたはミドルウェアを使用したことです。
	Linuxでスケジュールされたタスクによって実行される疑わしいコマンド	脅威検出モデルは、サーバー上のスケジュールされたタスクが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者が、サーバーが侵害された後にアクセス許可を維持するために、スケジュールされたタスクに悪意のあるコマンドを書き込んだことです。
	Pythonアプリケーションによる疑わしいコマンドの実行	脅威検出モデルは、サーバー上のPythonアプリケーションが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、サーバー上のPythonベースのwebアプリケーションにRCEの脆弱性があり、侵害されていることです。
	Tomcatが実行する疑わしいコマンド	脅威検出モデルは、サーバー上のTomcatコンテナーが疑わしいコマンドを実行したことを検出しました。潜在的な原因は、攻撃者がTomcatコンテナのJavaアプリケーションのWebshellまたはRCEの脆弱性を悪用して悪意のあるコマンドを実行したことです。